SQL创建变量表名存储过程 动态建表迁移数据报@newtable语法错误

SQL Server 不支持在静态SQL语句中直接使用变量作为表名、列名这类数据库标识符。你代码里直接写CREATE TABLE @newtable、INSERT INTO [dbo].[@newtable]这类写法时，SQL语法解析器只会把@newtable当成普通的变量值，不会将其识别为表名标识符，因此会直接抛出语法错误，也就是你看到的Incorrect syntax near '@newtable'。

除了核心的标识符不能用变量直接替换的问题，你原来的代码还有几个明显问题：

• 存储过程没有定义输入参数，@newtable和@oldtable只是内部声明的局部变量，无法接收C#端传入的表名参数
• 建表语句最后一个字段末尾多了冗余逗号，会触发额外语法错误
• 直接拼接外部传入的表名如果不做校验和转义，存在SQL注入风险，也无法处理带特殊字符的表名

使用动态SQL实现，将传入的表名安全拼接进SQL字符串后执行，同时增加必要的校验逻辑避免异常，修改后的存储过程代码如下：

CREATE PROCEDURE ab_createtable
    @newtable NVARCHAR(50), -- 入参：接收C#传入的新表名
    @oldtable NVARCHAR(50)  -- 入参：接收C#传入的旧表名
AS
BEGIN
    SET NOCOUNT ON;

    -- 前置校验：避免旧表不存在、新表重名的问题
    IF OBJECT_ID(QUOTENAME(@oldtable), 'U') IS NULL
    BEGIN
        RAISERROR('传入的旧表不存在', 16, 1);
        RETURN;
    END
    IF OBJECT_ID(QUOTENAME(@newtable), 'U') IS NOT NULL
    BEGIN
        RAISERROR('传入的新表名已被占用', 16, 1);
        RETURN;
    END

    DECLARE @execSql NVARCHAR(MAX);
    -- 拼接SQL语句，用QUOTENAME包裹表名做转义，防范SQL注入、兼容特殊字符表名
    SET @execSql = N'
    CREATE TABLE ' + QUOTENAME(@newtable) + N'
    (
        [No] [int] IDENTITY(1,1) NOT NULL,
        [Name] [nvarchar](50) NOT NULL,
        [Surname] [nvarchar](50) NULL
    );

    SET IDENTITY_INSERT ' + QUOTENAME(@newtable) + N' ON;

    INSERT INTO ' + QUOTENAME(@newtable) + N'([No], [Name], [Surname])
    SELECT [No], [Name], [Surname] FROM ' + QUOTENAME(@oldtable) + N';

    SET IDENTITY_INSERT ' + QUOTENAME(@newtable) + N' OFF;
    ';

    -- 执行拼接好的动态SQL
    EXEC sp_executesql @execSql;
END

• 调用时通过SqlParameter对象给@newtable、@oldtable两个参数赋值即可，不要自行拼接SQL语句，从调用层进一步规避注入风险
• 传入表名时不需要带dbo.这类schema前缀，QUOTENAME函数会自动处理标识符格式，如果使用非dbo的自定义schema，可以额外增加schema入参，同样用QUOTENAME包裹后拼接即可

内容的提问来源于stack exchange，提问作者AnlBozkrt